docker中要使用鏡像，一般會從本地、docker Hup公共倉庫和其它第三方公共倉庫中下載下傳鏡像，一般出于安全和外網(牆)資源下載下傳速率的原因考慮企業級上不會輕易使用。那麼有沒有一種辦法可以存儲自己的鏡像又有安全認證的倉庫呢? ----> 企業級環境中基于Harbor搭建自己的安全認證倉庫。
Harbor是VMware公司最近開源的企業級Docker Registry項目, 其目标是幫助使用者迅速搭建一個企業級的Docker registry服務。
2. 選擇的理由
* 提供了管理UI
* 基于角色的通路控制(Role Based Access Control)
* AD/LDAP內建
* 審計日志(Audit logging)
* 原生支援中文
Harbor在架構上主要由五個元件構成：
* Proxy：Harbor的registry, UI, token等服務，通過一個前置的反向代理統一接收浏覽器、Docker用戶端的請求，并将請求轉發給後端不同的服務。
* Registry： 負責儲存Docker鏡像，并處理docker push/pull 指令。由于我們要對使用者進行通路控制，即不同使用者對Docker image有不同的讀寫權限，Registry會指向一個token服務，強制使用者的每次docker pull/push請求都要攜帶一個合法的token, Registry會通過公鑰對token 進行解密驗證。
* Core services： 這是Harbor的核心功能，主要提供以下服務：
* UI：提供圖形化界面，幫助使用者管理registry上的鏡像（image）, 并對使用者進行授權。
* webhook：為了及時擷取registry 上image狀态變化的情況， 在Registry上配置webhook，把狀态變化傳遞給UI子產品。
* token 服務：負責根據使用者權限給每個docker push/pull指令簽發token. Docker 用戶端向Registry服務發起的請求,如果不包含token，會被重定向到這裡，獲得token後再重新向Registry進行請求。
* Database：為core services提供資料庫服務，負責儲存使用者權限、審計日志、Docker image分組資訊等資料。
* Log collector：為了幫助監控Harbor運作，負責收集其他元件的log，供日後進行分析。
各個元件之間的關系如下圖所示：
<a href="https://s3.51cto.com/wyfs02/M02/98/A1/wKioL1k_BwrwEOx4AAC9Iqc6Hic099.jpg" target="_blank"></a>
Harbor的每個元件都是以Docker容器的形式建構的，是以使用Docker Compose來對它進行部署。
用于部署Harbor的Docker Compose 模闆位于 /Deployer/docker-compose.yml. 打開這個模闆檔案，會發現Harbor由5個容器組成：
* proxy: 由Nginx 伺服器構成的反向代理。
* registry:由Docker官方的開源registry 鏡像構成的容器執行個體。
* ui: 即架構中的core services, 構成此容器的代碼是Harbor項目的主體。
* mysql: 由官方MySql鏡像構成的資料庫容器。
* log: 運作着rsyslogd的容器，通過log-driver的形式收集其他容器的日志。
這幾個容器通過Docker link的形式連接配接在一起，這樣，在容器之間可以通過容器名字互相通路。對終端使用者而言，隻需要暴露proxy （即Nginx）的服務端口。
Harbor的認證流程
<a href="https://s4.51cto.com/wyfs02/M00/98/BE/wKiom1k_5D7w8o09AABzvcHA_Lo116.png" target="_blank"></a>
A、首先，請求被代理容器監聽攔截，并跳轉到指定的認證伺服器。
B、如果認證伺服器配置了權限認證，則會傳回401。通知dockerclient在特定的請求中需要帶上一個合法的token。而認證的邏輯位址則指向架構圖中的core services。
C、 當docker client接受到錯誤code。client就會發送認證請求(帶有使用者名和密碼)到coreservices進行basic auth認證。
D、 當C的請求發送給ngnix以後，ngnix會根據配置的認證位址将帶有使用者名和密碼的請求發送到core serivces。
E、 coreservices擷取使用者名和密碼以後對使用者資訊進行認證(自己的資料庫或者介入LDAP都可以)。成功以後，傳回認證成功的資訊。
Harbor的安裝方式
* 線上online安裝 --> 由于國内牆和網速率的原因，體驗不理想
* 離線offline安裝 --> 下載下傳包較大 [ 包含了相關依賴鏡像 ]
此次選擇離線包安裝
４. 環境
<code>[root@harbor ~]</code><code># cat /etc/redhat-release </code>
<code>CentOS Linux release 7.2.1511 (Core) </code>
<code>[root@harbor ~]</code><code># uname -r</code>
<code>3.10.0-327.36.3.el7.x86_64</code>
5. 伺服器 IP 位址
192.168.60.150
6. 建立證書
* 建立證書存放目錄
<code>[root@harbor ~]</code><code># mkdir -p /data/cert</code>
* 切換工作路徑切證書存放目錄
<code>[root@harbor ~]</code><code># cd /data/cert/</code>
* 建立 CA 根證書
<code>[root@harbor cert]</code><code># openssl req -newkey rsa:4096 \</code>
<code>-nodes -sha256 -keyout ca.key -x509 -days 365 \</code>
<code>-out ca.crt -subj </code><code>"/C=CN/L=wuhan/O=lisea/CN=harbor-registry"</code>
* 生成一個證書簽名, 設定通路域名為 harbor.lisea.acn
<code>[root@harbor cert]</code><code># openssl req -newkey rsa:4096 \</code>
<code>-nodes -sha256 -keyout harbor.lisea.cn.key \</code>
<code>-out server.csr -subj </code><code>"/C=CN/L=wuhan/O=lisea/CN=harbor.lisea.cn"</code>
* 生成主機的證書
<code>[root@harbor cert]</code><code># openssl x509 -req -days 365 \</code>
<code>-</code><code>in</code> <code>server.csr -CA ca.crt -CAkey ca.key \</code>
<code>-CAcreateserial -out harbor.lisea.cn.crt</code>
7. harbor安裝部署
* 安裝 docker
<code>[root@harbor ~]</code><code># yum install docker -y</code>
* 設定 docker 服務開機啟動
<code>[root@harbor ~]</code><code># systemctl enable docker.service</code>
* 啟動 docker 服務
<code>[root@harbor ~]</code><code># systemctl start docker.service</code>
* 安裝 docker-compose
<code>[root@harbor ~]</code><code># yum install python-pip -y</code>
<code>[root@harbor ~]</code><code># pip install --upgrade pip</code>
<code>[root@harbor ~]</code><code># pip install docker-compose</code>
<code>[root@harbor ~]</code><code># pip install --upgrade backports.ssl_match_hostname</code>
* 下載下傳 harbor 離線包 [ https://github.com/vmware/harbor ]
<code>[root@harbor ~]</code><code># wget https://github.com/vmware/harbor/releases/download/v1.1.2/harbor-offline-installer-v1.1.2.tgz</code>
* 解壓下載下傳的harbor包 [ harbor-offline-installer-v1.1.2.tgz ]
<code>[root@harbor ~]</code><code># tar zxf harbor-offline-installer-v1.1.2.tgz</code>
* 切換進harbor包目錄
<code>[root@harbor ~]</code><code># cd harbor</code>
* 修改habor配置檔案 [ harbor.cfg ]
<code>hostname</code> <code>= harbor.lisea.cn </code><code># 指定私有倉庫的主機名,可以是IP位址，也可以是域名 </code>
<code>ui_url_protocol = https </code><code># 使用者通路私倉時使用的協定，預設時http，配置成https</code>
<code>db_password = root123 </code><code># 指定mysql資料庫管理者密碼</code>
<code>harbor_admin_password：Harbor12345 </code><code># harbor的管理者賬戶密碼</code>
<code>ssl_cert = </code><code>/data/cert/harbor</code><code>.lisea.cn.crt </code><code># 設定證書檔案路徑</code>
<code>ssl_cert_key = </code><code>/data/cert/harbor</code><code>.lisea.cn.key </code><code># 設定證書密鑰檔案路徑</code>
* 通過自帶腳本一鍵安裝
<code>[root@harbor harbor]</code><code># ./install.sh</code>
* 通過浏覽器通路管理 [ 提前設定本地 hosts檔案本地重定向至harbor伺服器IP ]
使用者預設為admin
密碼預設為Harbor12345 [可通過安裝前 harbor.cfg 配置檔案修改 harbor_admin_password 指定 ]
<a href="https://s5.51cto.com/wyfs02/M02/98/DC/wKiom1lBLDKhIU5tAAFJrk9gC84601.png" target="_blank"></a>
8. 用戶端使用測試 [ docker 機 ]
* 通過 admin 賬戶登陸建立 test 使用者
* 退出 admin 賬戶登陸 test 使用者
* 建立 test 項目, 通路級别選擇公開
<a href="https://s5.51cto.com/wyfs02/M01/98/DD/wKiom1lBLNrCuj3kAACQDFMoVfw370.jpg" target="_blank"></a>
* 建立倉庫證書存放目錄
<code>[root@harbor client]</code><code># mkdir /etc/docker/certs.d/harbor.lisea.cn</code>
* 從harbor伺服器獲驗證書至倉庫證書目錄
<code>[root@harbor client]</code><code># scp [email protected]:/data/cert/ca.crt /etc/docker/certs.d/harbor.lisea.cn/ca.crt</code>
* 使用者登陸 ［ 本地需要做hosts harbor.lisea.cn 域名重定向至harbor伺服器IP ］
<code>[root@harbor client]</code><code># docker login -u test -p Test123456 harbor.lisea.cn</code>
<code>Login Succeeded</code>
* 編寫dockerfile檔案
<code># Url https://lisea.cn</code>
<code># Base imgae</code>
<code>FROM centos</code>
<code># Maintainer</code>
<code>MAINTAINER lisea [email protected]</code>
<code># Commands</code>
<code>RUN rpm -ivh http:</code><code>//mirrors</code><code>.aliyun.com</code><code>/epel/epel-release-latest-7</code><code>.noarch.rpm</code>
<code>RUN yum </code><code>install</code> <code>nginx -y</code>
<code>RUN </code><code>echo</code> <code>"daemon off;"</code> <code>>> </code><code>/etc/nginx/nginx</code><code>.conf</code>
<code>RUN </code><code>echo</code> <code>"this is test nginx image"</code> <code>> </code><code>/usr/share/nginx/html/index</code><code>.html</code>
<code>EXPOSE 80</code>
<code>CMD [</code><code>"nginx"</code><code>]</code>
* 通過Dockerfile建構一個新鏡像, 直接指明registry和标簽
<code>[root@harbor client]</code><code># docker build -t harbor.lisea.cn/test/nginx:v1.0.1 .</code>
* 上傳鏡像至 harbor registry
<code>[root@harbor client]</code><code># docker push harbor.lisea.cn/test/nginx:v1.0.1</code>
* web中檢視鏡像是否上傳成功 [ 成功上傳nginx ]
<a href="https://s4.51cto.com/wyfs02/M00/98/DD/wKiom1lBMMrAuIZYAACBZsT81m8433.jpg" target="_blank"></a>
* 删除本地鏡像
<code>[root@harbor client]</code><code># docker rmi harbor.lisea.cn/test/nginx:v1.0.1</code>
* 從harbor中下載下傳鏡像
<code>[root@harbor client]</code><code># docker pull harbor.lisea.cn/test/nginx:v1.0.1</code>
9. 總結
以需求驅動技術，技術本身沒有優略之分，隻有業務之分。
本文轉自asd1123509133 51CTO部落格，原文連結：http://blog.51cto.com/lisea/1936839，如需轉載請自行聯系原作者
![【MySQL資料庫】資料庫索引事務1.索引2.事務[圖]](data:image/gif;base64,R0lGODlhAQABAIAAAP///wAAACwAAAAAAQABAAACAkQBADs=)